A autoridade de Certificação do LIP Centro de Cálculo Laboratório de Instrumentação e Física Experimental de Partículas Jornadas do LIP 2005 Nuno Dias

A autoridade de Certificação do LIP Porquê criar uma autoridade de Certificação ? O LIP participa em vários projectos Grid. As infra-estruturas destes projectos estão abertas a novos utilizadores. Por razões de segurança, organização e escalabilidade as Grids necessitam de um sistema de autenticação comum. O sistema de autenticação é usualmente baseado numa infra- estrutura PKI e certificados X.509. Em cada país autoridades de certificação Grid emitem os certificados para autenticação dos utilizadores e sistemas.

A autoridade de Certificação do LIP Em sistemas Grid a autenticação dos utilizadores e serviços é efectuada através de certificados X.509. Cada utilizador, serviço e sistema deve possuir um certificado que o identifique inequivocamente. Antes porém os certificados têm de ser emitidos. O certificado é emitido O certificado é usado como chave para aceder à Grid Um pedido de certificado é efectuado A identidade do utilizador é confirmada

A autoridade de Certificação do LIP Certificados X.509 CA Digital Signature X.500 Subject Public Key X.500 Issuer Expiration Date Serial Number Extensions Certificado Quem é o dono, CN=Sr. Silva,O=LIPCA,C=PT A chave pública Quem emitiu o certificado, O=LIPCA,C=PT A data em que expira o certificado O número de serie do certificado Informações adicionais

A autoridade de Certificação do LIP Este texto é muito secreto DG#%$$##/( &)&sdf$##sd f$% Este texto é muito secreto Par Chave Pública / Chave Privada Chave PúblicaChave Privada Texto não cifrado Texto cifrado Texto não cifrado Cifrar com RSA Decifrar com RSA

A autoridade de Certificação do LIP A autoridade de certificação do LIP é membro do EuGridPMA e segue o modelo e as politicas das autoridades de certificação Grid estrangeiras. Grid Policy Management Authority (Working to Establish Worldwide Trust for Grids) Asia Pacific PMA The Americas PMA LIP CA Portugal CERN CA Switzerland ArmeSFO Armenia CNRS Grid France CyGrid Cyprus CESNET Czech DutchGrid Netherlands GermanGrid Germany HellasGrid Greece GridIreland Ireland INFN CA Italy NorduGrid Nordic countries PolishGrid Poland Russian Datagrid Russia SlovakGrid Slovakia DataGrid-ES Spain UK e-Science United Kingdom BelnetGrid Belgium Grid-PK Pakistan FNAL Grid USA GridCanada Canada DOEGrids USA GridCanada Canada NCSA Alliance USA NASA IPG USA AIST Japan ASGCC Taiwan KISTI Korea AusGrid Australia BMG Singapore CMSD India HKU Hong Kong NCHC Taiwan Osaka U. Japan USM Malaysia International Grid Trust Federation

A autoridade de Certificação do LIP EuGridPMA Is a body to establish requirements and best practices for grid identity providers to enable a common trust domain applicable to authentication of end-entities in inter-organisational access to distributed resources. As its main activity the EUGridPMA coordinates a Public Key Infrastructure (PKI) for use with Grid authentication middleware. The EUGridPMA itself does not provide identity assertions, but instead asserts that the certificates issued by the Accredited Authorities meet or exceed the relevant guidelines.

A autoridade de Certificação do LIP Certificados e o LIP O LIP estabeleceu a sua autoridade de certificação para computação Grid durante o ano O LIP é membro do EuGridPMA – European Policy Management Authority for Grid Authentication in e-Science. O LIP foi membro do DataGrid certification authorities coordination group que deu origem ao EuGridPMA. O LIP é membro do CrossGrid certification authorities workgroup que é membro do EuGridPMA. O LIP tem estado envolvido nas seguintes actividades: Estabelecimento dos requisitos mínimos para funcionamento de autoridades de certificação Grid. Verificação e aprovação de novas autoridades de certificação. Actividades de coordenação das autoridades de certificação. A autoridade de certificação do LIP é reconhecida internacionalmente.

A autoridade de Certificação do LIP O objectivo inicial da autoridade de certificação do LIP era emitir certificados para a Física de Altas Energias em Portugal. A autoridade de certificação do LIP foi assim criada para emitir certificados para membros do LIP e de organizações suas colaboradoras. A CA do LIP Em 2003 LIP modificou a sua CP/CPS (Certificate Policy/Certification Practice Statement) de modo a permitir a emissão de certificados para todas as instituições académicas em Portugal. O LIP tem recebido pedidos de certificados para uso em computação Grid por parte de outras organizações académicas nacionais.

A autoridade de Certificação do LIP Uma CA académica A existência de uma CA que emita certificados internacionalmente reconhecidos para a comunidade académica nacional (sem qualquer custo) é um passo essencial para fomentar a computação Grid em PORTUGAL e a partilha de recursos entre instituições. O LIP é a única instituição em Portugal com experiência e reconhecimento internacional na emissão de certificados para computação Grid. A existência de uma autoridade de certificação permite a emissão de certificados para autenticação de utilizadores entre instituições, e a sua participação em projectos Grid internacionais.

A autoridade de Certificação do LIP Autoridade de certificação Autoridade De Registo Universidade A Autoridade De Registo Universidade B... Autoridade De Registo Instituto C Autoridades de registo Para que a identificação dos sujeitos possa ser efectuada correctamente é necessário criar uma rede de autoridades de registo em: Estabelecimentos de ensino superior Institutos de investigação Cada autoridade de registo identifica as pessoas pertencentes à sua organização, ou a outras com as quais tenha relação. Já foram estabelecidas cinco RAs (Universidade Lusíada em Famalicão, Universidade Autónoma, Universidade do Porto, LIP Lisboa e LIP Coimbra).

A autoridade de Certificação do LIP Responsabilidades das RAs Uma RA deve verificar: Autenticidade do pedido de assinatura do certificado Identificação da pessoa através de documentos oficiais Atestar a relação da pessoa com a instituição A RA deve operar com autorização da instituição. As verificações de identidade efectuadas pelas RAs nas instituições atestam: A relação da pessoa com a instituição. Que a sua identidade e o pedido foram verificados de acordo com as normas imposta pela CA. As RAs devem ser operadas por serviços internos aos estabelecimentos de ensino e institutos de investigação.

A autoridade de Certificação do LIP Como avançar ? O estabelecimento de uma RA inclui: Pedido oficial de estabelecimento da RA. Estabelecimento das normas de verificação de identidade e operação especificas da RA. Estabelecimento do espaço de nomes. Identificação do pessoal da RA e emissão dos seus certificados pessoais. Formação. As instituições interessadas devem contactar a autoridade de certificação do LIP para proceder ao estabelecimento de uma RA.

A autoridade de Certificação do LIP Sistema para assinar certificados LIP (off-line) 1. Pedido de certificado pelo utilizador 2. Verificação da identidade do utilizador por uma RA 6. Download do certificado pelo utilizador Servidor da CA Chave privada da CA 3. Transferência manual do Pedido 4. Assinatura 5. Transferência manual do certificado

A autoridade de Certificação do LIP

Página com documentação acerca do LIPCA e dos certificados. Página para pedidos de certificados e gestão das autoridades de Registo. ContactosContactos